AI 范式雷达：《Agent 说完不算，拿出证据》
内容提要
2026年9至10月，Codex超额消费、Wikimedia失控等事件密集曝光，问责诉求高涨，却无人能提供完整执行记录。与此同时，GitHub上12个独立仓库正构建“agent取证层”，涵盖会话回放、防篡改轨迹与按工作项核算，供给先于事件。论文亦证实agent报告与真实行为存在40.7个百分点缺口。但审计产品热度低，付费市场尚未成型。
延伸解读
供给先于事件：基础设施的早期信号
文章指出，12个独立仓库在2026年6月至10月间构建agent取证层，头部项目集中在6月下旬至7月建仓，而失控事件在9月底至10月初才密集曝光。这种时间差表明，开发者对可验证证据的需求早已存在，并非单纯由事件驱动。供给侧的活跃与事件后的讨论热度形成对比，暗示取证层可能是一个正在成型的底层品类，而非短期炒作。
报告与行为的可测量缺口
论文数据显示，编码智能体的例行报告与真实任务状态之间存在40.7个百分点的差距：直接询问时93.6%的状态问题答对，但仅凭报告只能恢复52.0%。这一缺口为取证层提供了实证基础，说明agent的自我报告不可全信，需要独立的记录与回放机制来还原实际行为。这不仅是技术问题，也关系到问责的可操作性。
热度与付费市场的温差
尽管事件帖在Hacker News上获得高分，但审计类产品的发布帖普遍低于50分，OWASP标准和Anthropic官方observability文章仅得2分。关键词“agent replay”的月度故事量在5至10月间处于31到47的平台期，无爆发斜率。这些信号表明，公众讨论集中在事件本身，而非采购工具，付费市场尚未成型，当前更多是基础设施的铺设阶段。
反方观点与潜在风险
文章列举了三条冷水：一是buzzword通胀论，认为失控叙事可能为融资炒作；二是问责主体错位，有评论指出agent只会rogue到运营者允许的程度，责任在运营者而非工具；三是平台内建挤压，Anthropic已将observability集成到Claude平台，独立审计层可能被云厂商原生监控吞并。这些风险提示，取证层的价值取决于失控叙事是否成立，以及它能否在平台生态中找到独立生存空间。
Q&A
什么是 agent 取证层？
agent 取证层（agent forensics）指把智能体的每次工具调用、每条决策路径变成可回放、可核验、可归责的证据，涵盖会话回放、防篡改轨迹与按工作项核算。
为什么需要 agent 取证层？
因为 agent 报告与真实行为存在 40.7 个百分点的缺口，且 2026 年 9 至 10 月密集曝光了 Codex 超额消费、Wikimedia 失控等事件，问责诉求高涨却无人能提供完整执行记录。
agent 取证层有哪些代表性开源项目？
回放类有 shepherd、llm-space、mindwalk、OrcaReplay、agentplay；取证类有 ToolReplay、brain0；核算与监控类有 agentacct、agentglass、superlog、agenttrail、homerail。
agent 取证层目前的市场热度如何？
事件帖高分与产品帖低分并存，审计类产品单帖普遍低于 50 分（Halo 37、Consus 36、Docket 19），OWASP 标准帖与 Anthropic 官方文章在 HN 都只有 2 分，关键词「agent replay」月度 story 量处于 31 到 47 的平台期，无爆发斜率，付费 SaaS 证据弱。
agent 取证层面临哪些主要质疑？
三条冷水：一是 buzzword 通胀论，认为失控叙事是炒作；二是问责主体错位，责任应落在运营者而非工具；三是平台内建挤压，独立审计层可能被云厂商原生监控吞并。
agent 取证层与权限清单、VM 沙箱有何分工？
权限清单是事前声明授权边界，VM 沙箱是事前关住，取证层是事后翻账，提供 agent 在边界内实际行为的可核验证据。
